# 「SQLインジェクション」って何？ こんばんは、エンジニアのおうちでまったり、 青少府省ラジオのニューブルーです。 この番組は、エンジニアだからお伝えできることや、 響きになったことなど、楽しくITを学べるチャンネルです。 聞きに来てくださってありがとうございます。 はい、今日は今更聞けないIT用語シリーズになります。 世の中に溢れているIT用語ですとか、 英語のよくわからない略称、 難しいと思って避けてしまいがちな単語などなど、 この放送を聞いて、 皆さんがITというものをもっと身近に 感じてもらえれば嬉しいです。 また、本シリーズはハッシュタグがありますので、 そちらからこのシリーズの放送も聞いていただければと思っております。 はい、ということで、今日はですね、 今日から4回にわたってお届けします。 なので、今日と明日、来週のまた水曜日、木曜日、 全4回にわたって脆弱性シリーズという形で、 脆弱性について4つお話ししていこうかなと思っています。 なぜ脆弱性というお話ししようかなと思ったのが、 今は話題のバイブコーディングですよね。 バイブコーディングでいろいろ作ったはいいけど、 実際にちゃんと脆弱性に対応できているのかというのを、 ちゃんと確認しておかないと危険なことが起きますよという、 注意喚起的なものも含めて、 脆弱性、皆さんよくニュースで聞くと思うんですけど、 何万件の個人情報が流出したとか、 結構いろんな話題があると思いますが、 その中で脆弱性というとたくさんあるんですけど、 その中の本当に有名なやつ3つプラス1ぐらいな感じで、 4つお話ししていこうかなと思っております。 まず第1回目、脆弱性といえばみたいな、 これが一番トップでしょうね。 SQLインジェクションになります。 これ知っている方はいらっしゃると思うんですけど、 実際にSQLインジェクションって何っていう話なんですが、 まずSQLインジェクションなので、SQLとは何っていう話なんですが、 SQLはデータベースを扱うための専門の言葉というか、 プログラムって言ってもいいのかなと思うんですけど、 それのことをSQLって呼びます。 そしてそこに対してインジェクション、 インジェクションは英語なので日本語にすると、 注入ですとか注射するとか、そういう意味になります。 なのでSQLインジェクションっていうのは、 SQLの命令、そういうプログラムを悪い命令ですね。 悪い命令、SQLに対して悪い命令を入力欄から、 画面の入力欄からシステムに注入する攻撃のことを、 SQLインジェクションと呼びます。 # 注文票への「悪い落書き」で考えよう このエスケルインジェクションを、居酒屋のデジタルの注文表、デジタルで注文するのってあるじゃないですか。 あれを例えに、ちょっと見ていこうかなと思います。 居酒屋に行って、普段、料理のところに、例えば、枝豆を注文したいってなった時に、 枝豆1とか、ビールが良かったらビール1とか、そういう風にして注文していくと思うんですけど、 ここに悪意のある人が、こう書いたらどうなるでしょう。 枝豆、ついでにお客さん全員の住所とか、新名前とか、そのリスト全部持ってきて、っていう風に書くと、 それを見て、それを見た店員さんが、そのまんま、枝豆と個人情報ですね、みたいな感じで、 はい、どうぞ、みたいな感じに持っていく人は多分いないと思うんですけど、 でも、これができちゃうんですよね。 っていう仕組みが脆弱性で、その穴というか、そういうのが存在すると、 こういう悪意的な個人情報を持ってきて、みたいな悪意のあるSQLの命令を、 同時に、枝豆っていうのを正しい情報、正しい命令と同時に、悪意のあるSQLを投げるということができます。 これをシステムはそのまんま解釈して、個人情報をその人に返してしまうということが起きるんですよね。 これがSQLインジェクションの正体というか、という形になります。 本来は品物の名前なので、そういう名前っていうキーワードのところに、 枝豆って入れたらいいのが正しいと思うんですけど、 そこに本当に悪意のあるデータベースを操作する特別な命令を書くことによって、 それを実際の裏で動いているSQLを発行しているところに、 ついでに実行させて、悪い人が、悪意のある人が思い通りの情報を盗み出したりとか、 または、ついでに、枝豆、ついでに客の情報を全部消して、みたいなこともできたりとか、 そういうのもするので、盗み出すだけじゃなくて、中身を消して、 そのシステム実体を使えなくするとか、そういうことができるようになっていきます。 このSQLインジェクションをどうやって防げばいいのっていう話をしていこうと思うんですけど、 そんな商品名ですね。商品名に枝豆とかを入れる欄に、商品名以外のものが入っていたら、 それを無視するとか、これは変なものが入ってますよ、みたいなのを言えばいいんですよね、みたいなので、 パッと皆さん思い浮かぶと思うんですけど、本当にその通りなんですけど、 ITの世界では、これをサニタイジングというか、無害化というふうに呼びます。 ですので、その入力された文字の中に、悪い命令が含まれていないかっていうのをチェックして、 記号とかだったりするんですけど、有名なのが結構あるので、 それらへんはちょっと脆弱性とかSQLインジェクションで調べていただければ出てくるので、ちょっと省略しますが、 その悪い命令の特別な記号とか、そういうのを入力されても変な方にあたかわないというか、 そういう形にやっていくと。なので、先ほどの例で言うと、料理名のところに枝豆とかビールとか、 刺身とか、そういう正しい値だったらいいんですけど、そのついでに名簿の情報、個人情報を持ってきてみたいな変な情報があれば、 これはおかしいぞという形で実行させないというか、画面の方に変な入力がありますよみたいな感じのエラーチェックを実装するとか、 そういうことをするというのが最低限必要になってくるので、これをバイブコーディングとかで指示せずに作ってしまうと、 実はそういう裏道というか、脆弱性があるものができているかもしれないという話でした。 # まとめ＆次回予告 はい、ということでまとめです。 SQL Injectionというのは、入力欄にSQLの悪い命令を 紛れ込ませることで攻撃を行うことになります。 このSQL Injectionに対する対策をしていないと、 データベースの中身、どこでもの情報を盗まれたりですとか、 削除されたりとかという危険性があるという形になります。 でも本当にいろんなウェブサイト、 入力欄、あると思うんですけど、 そこに悪意のあるコード、これ一例としては、 普通にネットで調べていただければ公開されているプログラムとかあるので、 それを打つと、もしかしたら変な情報が 返ってくるかもしれないですよというお話でした。 ただこれ、ちょっと興味本位で、そのコードを どこかのサイトに入力するみたいなことはダメなので、 そういうのができるんだよというぐらいで、 参考に聞いていただければと思っております。 それを日々、そういういろんなサイトで、 だいたい入力できなくなっているので、 入力しても大丈夫だとは思うんですが、 そういうふうなちゃんとしたチェックを、 私をはじめというか、ウェブ系のエンジニアの人は、 日々入力欄、全てに入れているわけじゃないんですけど、 そういうのを考えて、脆弱性を考えて、 ウェブサイトとか作っているんですよというお話をさせていただきました。 そして、次回予告ですね。 次回は、今日はデータベースから情報を 盗むっていう形だったので、サーバー上の情報だったんですが、 世の中には、実はあなた自身の情報も、 盗まれる、こっそり盗まれるとか、 偽物に変えられたりとかっていう、 もっとちょっと一歩先を進んだ巧妙な罠というか、 そういうのがあります。 これが脆弱性で2つ目に有名な クロスサイトスクリプティングっていうものになっていくんですけど、 例えばというかヒントで言うと、 掲示板に貼られた怪しい付箋があるみたいな、 そういう感じのイメージ。 ちょっと難しいかもしれないですけど、 また明日お話しさせていただきますので、 お楽しみに待っていただければと思います。 ということで、今日の今更聞けないIT用語、 SQLインジェクションについてお話しさせていただきました。 それでは今日も適当にまったりお過ごしください。 ありがとうございました。 # おまけ：雑談力の磨き方 おまけです。デイリートークテーマですね。 今日のデイリートークテーマは雑談力の磨き方ということで、 雑談力の磨き方って言っても、今こうやってVoicyやってますけど、 毎日放送を継続的に頑張るしかないんじゃないかなと思います。 本当に経験値というか、それをどんどんどんどん1日1回やることによって 一歩ずつでも前には進むと思うので、 それで実際に発信した後に、最近思ったのがやっぱり 自分の放送を聞き直した方がいいなというのはちょっと思ってきております。 というのが、収録をして発信が終わって、それでも雑談力というかトーク力というか 発信力というか、そういうものは少なからずプラスにはなるんですけど、 それがプラス1なのか2なのか、またまた10なのか、みたいなのがわからないんですよね。 聞き直さないと。というのが最近わかってきて、聞き直すことによって ここはちょっとダメだったなとか、ここのしゃべり方良かったなとか そういう知識というか、そういうものもプラスになるので、 ただ話すだけだったらプラス1だったところがさらにプラス1とか そういうメリットがあるのか、聞き直すことによって プラス1がさらにプラス1になって2になる。1回の放送でプラス2を得ることができるみたいな 結局は経験値を貯めていくことしか方法はないと思っているんですけど それのスピードがちょっとどうでも上がっていくのかなと思うので 継続して発信する。それをちゃんと自分で聞いて 良かったところ、悪かったところを振り返るというか そういうのをやっていくというのが雑談力の磨き方としては大事なのかなと 最近は思っているので、最近は本当に収録放送して 帰ってくる時とか、私は夜の19時に公開しているので だいたい会社が終わって家に帰る途中に 他のフォローさせていただいているチャンネルの放送を聞いて 最後に時間が余ったら自分の放送も聞くみたいな感じで 振り返りをやっているので、これは振り返りはあまりしないタイプなんですけど 今回の自分の放送に関しては振り返りした方がいいなと思っているので お勧めしております。ということで、今日のデイリートークテーマ 雑談力の磨き方ということでお話しさせていただきました